CVE-2019-9624

RCE authentifiée pour Webmin 1.9.0

Webmin 1.900 RCE authentifiée - Exploit CVE-2019-9624

1. Description de la vulnérabilité

CVE-2019-9624 est une vulnérabilité d'exécution de code à distance (RCE) authentifiée dans les versions de Webmin jusqu'à 1.900. Elle permet à un utilisateur administratif d'exécuter des commandes système arbitraires avec les privilèges root via les modules shell ou file.

2. Déroulement technique de l'exploitation

Étape 1 : Authentification et gestion de session

Webmin utilise un gestionnaire d'authentification personnalisé. Pour qu'une connexion automatisée réussisse, les éléments suivants sont requis :

• Cookie de test : Un cookie testing=1 doit être envoyé pour satisfaire la vérification de Webmin concernant le support des cookies par le navigateur.
• En-tête Referer : Le serveur vérifie l'en-tête Referer afin de prévenir la falsification de requête intersite (CSRF). Si l'en-tête ne correspond pas au chemin CGI attendu, la connexion est rejetée.
• SID (identifiant de session) : En cas de succès, le serveur délivre un cookie sid qui sert de jeton porteur pour toutes les commandes ultérieures.

Étape 2 : Contournement des restrictions d'encodage

Un obstacle majeur dans l'exploitation de Webmin 1.900 est son analyse stricte des entrées. La plupart des modules attendent un encodage Multipart/Form-Data (MIME).

• L'erreur : Si un script envoie une requête POST standard encodée URL, le serveur renvoie : Expecting form-data encoding, but got normal encoding.
• La solution : L'exploit doit utiliser une limite multipart pour encapsuler le paramètre cmd, simulant ainsi un envoi de fichier ou une soumission de formulaire complexe.

Étape 3 : Injection de commande

La charge utile est envoyée à /shell/index.cgi. Le backend Perl prend la variable cmd et l'exécute directement sur le système hôte. En incluant un paramètre pwd défini sur /root, nous garantissons que la commande s'exécute dans le contexte du répertoire personnel de l'utilisateur root.

3. Composants de l'exploit

Composant	Fonction
URL cible	Généralement http://<IP>:10000 ou un chemin /webmin derrière un proxy.
Charge utile	N'importe quelle commande Linux (par exemple, id, whoami, cat /etc/shadow).